Por que avaliar antes, não depois

Como já mostrado em reportagem anterior deste portal, o prazo de 12 meses da Resolução CD/ANPD nº 19/2024 para adequar contrato de transferência internacional de dado já venceu — e regularizar depois exige mapeamento retroativo de toda ferramenta em uso, negociação com fornecedor já contratado, e documentação de um processo que poderia ter sido resolvido na origem. Aplicar este checklist antes de assinar um novo contrato evita repetir esse mesmo ciclo com o próximo fornecedor.

As seis perguntas do checklist

As seis perguntas do checklist de avaliação de fornecedor estrangeiro, na ordem de aplicação A pergunta sobre localização do servidor vem primeiro — ela decide se as outras cinco se aplicam. Arte: Escolas Inteligentes.

1. Onde o servidor processa o dado? Se a resposta for "fora do Brasil" — incluindo Estados Unidos, Europa ou qualquer outro país — as próximas cinco perguntas se aplicam. Se for só no Brasil, a exigência específica da Resolução CD/ANPD nº 19/2024 não incide da mesma forma (ainda que as demais regras da LGPD continuem valendo).

2. O contrato já inclui Cláusula-Padrão Contratual, cláusula específica, normas corporativas globais ou decisão de adequação? Pergunte diretamente ao fornecedor — não presuma que ferramenta grande e conhecida já resolveu isso.

3. O fornecedor aceita incorporar a Cláusula-Padrão Contratual do Anexo II da Resolução, se ainda não tiver? Fornecedor que resiste a essa incorporação, sem justificativa técnica ou legal clara, é um sinal de atenção.

4. Que tipo de dado de aluno passa por essa ferramenta? Nome, desempenho individual, dado de saúde ou de necessidade especial elevam a régua de cuidado — mesma lógica de gravidade já usada para avaliar incidente de segurança em reportagem anterior.

5. O fornecedor notifica a escola em caso de incidente de segurança, mesmo ocorrendo no exterior? A obrigação de comunicação de incidente prevista na Resolução CD/ANPD nº 15/2024 não desaparece porque o servidor está fora do Brasil — o contrato deveria prever esse fluxo de notificação.

6. Existe alternativa nacional ou com servidor no Brasil que atenda à mesma necessidade? Nem sempre existe, e isso não é motivo automático para descartar o fornecedor estrangeiro — mas é uma pergunta que deveria ser feita, especialmente quando o dado envolvido é sensível.

Sinais de alerta ao negociar

Fornecedor que não sabe informar onde o servidor está localizado é o primeiro sinal de atenção — essa é uma informação básica que qualquer fornecedor sério deveria ter disponível. Termo de uso genérico, aceito com um clique, sem possibilidade de negociação de cláusula específica, é comum em ferramenta gratuita de uso individual — o mesmo padrão já descrito no fenômeno de "shadow IT pedagógico" em reportagem anterior. E ausência de qualquer cláusula de notificação de incidente no contrato é reforço do mesmo risco já tratado no guia de resposta a incidente deste portal.

Em resumo

  • Avaliar fornecedor estrangeiro antes de contratar evita o ciclo caro de regularização retroativa já necessário para contrato existente.
  • A primeira pergunta do checklist — onde o servidor está — decide se as outras cinco perguntas se aplicam.
  • Fornecedor deve ter, ou aceitar incorporar, Cláusula-Padrão Contratual do Anexo II da Resolução CD/ANPD nº 19/2024.
  • O tipo de dado de aluno envolvido (sensível ou não) eleva a régua de cuidado na avaliação.
  • Cláusula de notificação de incidente deve constar no contrato, mesmo com servidor no exterior.

Perguntas frequentes

Por que avaliar antes de contratar, se dá para regularizar depois?

Porque regularizar depois exige mapeamento retroativo, negociação com fornecedor já contratado e documentação de um processo que poderia ter sido resolvido na origem — mais caro e mais lento.

Qual a primeira pergunta a fazer ao fornecedor?

Onde o servidor processa o dado. Se for fora do Brasil, as demais perguntas do checklist se aplicam.

O fornecedor precisa aceitar a Cláusula-Padrão Contratual da ANPD?

Idealmente sim, ou apresentar mecanismo equivalente (cláusula específica, normas corporativas globais, decisão de adequação). Resistência sem justificativa é sinal de atenção.

Esse checklist vale só para ferramenta de IA, ou também para nuvem em geral?

Vale para qualquer fornecedor que processa dado em servidor fora do Brasil, seja ferramenta de IA, armazenamento em nuvem ou sistema de gestão.

O que fazer se não existir alternativa nacional para a necessidade da escola?

A ausência de alternativa nacional não é motivo automático para descartar o fornecedor estrangeiro — mas reforça a importância de confirmar as demais perguntas do checklist antes de contratar.

A obrigação de notificar incidente muda se o servidor for no exterior?

Não. A obrigação de comunicação de incidente de segurança prevista na Resolução CD/ANPD nº 15/2024 não desaparece pela localização do servidor.

Esse guia serve para renovação de contrato existente também?

Sim. As mesmas seis perguntas se aplicam ao revisar contrato já em vigor, especialmente diante do prazo já vencido de adequação.

Fontes e metodologia

Fontes consultadas em 10 de setembro de 2026.

  1. ANPD — Resolução CD/ANPD nº 19/2024 (transferência internacional de dados) e Resolução CD/ANPD nº 15/2024 (comunicação de incidente).
  2. Reportagens anteriores deste portal sobre due diligence de fornecedor de IA (Lote 11) e shadow IT pedagógico (Lote 13).

Metodologia. A exigência normativa de base (Cláusula-Padrão Contratual, notificação de incidente) vem de leitura direta das resoluções da ANPD. O checklist de seis perguntas, a ordem de aplicação e os sinais de alerta são elaboração original da redação, combinando essas exigências com a prática de due diligence de fornecedor já tratada em reportagem anterior.

O que não foi possível apurar. Se existe alternativa nacional equivalente para cada categoria de ferramenta — isso varia por caso e não foi objeto de levantamento nesta apuração.

Nota editorial

Este conteúdo é um guia operacional informativo e não substitui orientação jurídica especializada para contratação específica. Nenhum dado identificável de aluno é tratado.

Redação Escolas Inteligentes · Publicado em 17 de setembro de 2026 · Atualizado em 17 de setembro de 2026

Leia também